Resiliência cibernética na era da NIS2: Por que o backup não é mais apenas uma função da TI

Uma pergunta que toda empresa deveria se fazer é: com que rapidez podemos retomar as atividades se algo der errado?

O tempo de inatividade custa caro e, em casos extremos, pode até afetar a economia como um todo — estima-se que o ataque cibernético à Jaguar Land Rover tenha causado uma perda de 0,1% do PIB do Reino Unido.  

É por isso que legislações como a Diretiva NIS2 da UE dão grande ênfase à capacidade de recuperação, e não apenas à prevenção, para empresas consideradas “críticas” ou “importantes”. Mesmo as organizações que não estão diretamente sujeitas à NIS2 podem precisar demonstrar medidas de proteção adequadas caso queiram fazer negócios com clientes, parceiros ou fornecedores que estejam sujeitos a ela. 

Mas toda empresa deveria se fazer essa pergunta, independentemente de ser afetada pela legislação ou não. O backup não se resume mais a ter apenas outra cópia dos seus dados. É um elemento fundamental de qualquer resposta a desastres e determina a rapidez com que você consegue passar da recuperação para as operações normais da empresa. 

É por isso que as discussões sobre backup e recuperação estão indo além dos departamentos de TI e se tornando prioridades no nível da diretoria. 

Como uma boa estratégia de backup contribui para o NIS2 

 Por muitos anos, a estrutura de backup amplamente aceita era: 

• 3 cópias dos dados (para proteção contra perda de dados) 

• 2 formatos diferentes (armazenados em pelo menos dois tipos de mídia) 

• 1 cópia externa (para proteção contra desastres físicos) 

No entanto, recomenda-se agora adotar mais duas medidas para garantir a verdadeira eficácia do backup: 

• 1 cópia imutável (garantindo backups à prova de ransomware) 

• Não tenho dúvidas de que você conseguirá recuperar os dados (testes regulares garantem a confiabilidade) 

Essa abordagem em constante evolução tem um papel fundamental a desempenhar na conformidade com a NIS2. 

O que a NIS2 diz sobre a estratégia de backup? 

No cerne da NIS2 está o foco na recuperação e na continuidade dos negócios. Trata-se de garantir que as interrupções sejam reduzidas ao mínimo em caso de incidente. Por isso, a maior parte das seções da legislação da NIS2 é respaldada por uma boa estratégia de backup. 

Três áreas são particularmente relevantes. 

Um dos pilares do NIS2 é “políticas para avaliar a eficácia”. Em termos simples, não se trata apenas de acreditar que você possui um sistema de backup eficaz — trata-se da capacidade de comprovar que ele realmente existe.  

Um backup não serve para nada se não for possível utilizá-lo. O princípio de “0 dúvida de que é possível recuperar” deve fazer parte de qualquer estratégia de recuperação, apoiada por procedimentos de recuperação documentados e testes regulares. As organizações precisam ter a certeza de que, quando for necessária uma recuperação, ela funcionará conforme o esperado. 

Por outro lado, a cópia imutável atende à exigência da legislação quanto a “medidas de continuidade de negócios” e “práticas básicas de segurança informática”. É fundamental dispor de uma cópia dos dados que não possa ser alterada nem excluída e que possa servir como um ponto de restauração conhecido e confiável, caso seja necessário. Isso é necessário para a recuperação geral em caso de desastre e oferece uma versão confiável dos dados no caso de um ataque cibernético ou incidente envolvendo ransomware. 

Evite a complacência em relação à nuvem 

 Um dos maiores equívocos na área de TI moderna é a suposição de que os serviços em nuvem oferecem automaticamente proteção total e de que os provedores se encarregam do backup e da recuperação. O problema é agravado pelo SaaS, em que a promessa de acesso instantâneo a uma solução é atraente e, muitas vezes, concretizada sem o envolvimento da equipe de TI. 

Mesmoserviçosbem estabelecidos,como o Microsoft 365, podem apresentar lacunas no backupse as organizações não tiverem uma estratégia de proteção independente em vigor 

O termo “cegueira das nuvens” foi cunhado para essa e outras áreas de complacência em relação às nuvens. 

Embora os serviços em nuvem possam oferecer um certo grau de resiliência, as empresas não podem adotar uma abordagem passiva em áreas críticas, como backup e recuperação. 

As empresas precisam adotar uma política de confiança zero no que diz respeito à integridade de seus dados. Independentemente de quem tenha armazenado os dados ou onde, e independentemente das promessas feitas em termos de confiabilidade, a estratégia de backup deve permanecer consistente em todos os aspectos.  

O objetivo dos backups é garantir a continuidade dos negócios 

Em um mundo em que os ataques de ransomware são cada vez mais comuns e as interrupções nos serviços SaaS frequentemente ganham destaque na mídia, os backups precisam ser um elemento fundamental de qualquer estratégia de conformidade. 

Cada momento de inatividade representa uma perda potencial de receita. A abordagem da legislação de integrar a TI à governança da diretoria é positiva para as equipes de TI, e a Datto vem defendendo há muito tempo que os backups sejam uma parte importante dessa discussão. 

Leia o artigo da Datto“O guia definitivo sobre BCDR: Por que o backup e a recuperação de desastres são importantes”